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Sozialdatenschutz und zur Datensicherheit im Zusammenhang mit der 
Bundesagentur für Arbeit und den Jobcentern (Nachfrage zur Antwort der 
Bundesregierung auf die Kleine Anfrage auf Bundestagsdrucksache 19/3412) 


Vorbemerkung der Fragesteller 

Mit der Kleinen Anfrage auf Bundestagsdrucksache 19/2916 wollten sich die 
Fragesteller einen Überblick über die aktuelle Lage des Datenschutzes und der 
Datensicherheit bei der Bundesagentur für Arbeit (BA) und den Jobcentem gE 
verschaffen. 

Die Antwort der Bundesregierung auf die Kleine Anfrage auf Bundestagsdruck¬ 
sache 19/3412 war für die Fragestellerinnen und Fragesteller nicht befriedigend, 
da in vielen Teilen sehr allgemein, vage und ausweichend formuliert wurde. Ein 
Zusammenhang zwischen den Fragen und Antworten wurde den Fragestellern 
nicht an allen Stellen deutlich. Zudem ergeben sich aufgrund der Antworten 
konkretisierende Nachfragen. 

Arbeitssuchende und Erwerbslose sind eine besonders schutzbedürftige Perso¬ 
nengruppe. Der Schutz von Sozialdaten sollte einen besonderen Stellenwert in¬ 
nerhalb der Bundesagentur für Arbeit und der Jobcenter einnehmen. Das ver¬ 
deutlichen auch die gesonderten Regelungen zum Schutz von Sozialdaten im 
Zweiten Kapitel des Zehnten Buches Sozialgesetzbuch (SGB X). Daher sehen 
sich die Fragestellerinnen und Fragesteller veranlasst, erneut von ihrem parla¬ 
mentarischen Fragerecht Gebrauch zu machen. 


Vorbemerkung der Bundesregierung 

Die nachfolgenden Antworten der Bundesregierung beziehen sich nur auf die 
Jobcenter in Form der gemeinsamen Einrichtungen (gE) und Agenturen für Ar¬ 
beit. Zur Begründung wird auf die Vorbemerkung der Antwort der Bundesregie¬ 
rung auf Bundestagsdrucksache 19/3412 verwiesen. 


Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums für Arbeit und Soziales vom 
31. August 2018 übermittelt. 

Die Drucksache enthält zusätzlich — in kleinerer Schrifttype - den Fragetext. 
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1. Ist der in der Antwort zu den Fragen 2 und 3 (hier und im Folgenden wird 
stets auf die jeweiligen Antworten auf Bundestagsdrucksache 19/3412 ver¬ 
wiesen) genannte § 50 Absatz 2 SGB II, nach dem die Weisungsbefugnis für 
die Verarbeitung von Sozialdaten bei den Jobcentem gE liege und nicht bei 
der BA, auch vor dem Hintergrund zutreffend, dass in § 50 Absatz 3 SGB II 
die BA als verantwortliche Stelle für die zentral verwalteten Verfahren der 
Informationstechnik (also auch für die eAkte, VerBIS und ALLEGRO) ge¬ 
nannt wird? 

Wie grenzt die Bundesregierung die beiden genannten Regelungen sowie die 
des § 44b Absatz 3 SGB II voneinander ab? 

Die gE ist nach § 50 Absatz 2 des Zweiten Buches Sozialgesetzbuch (SGB II) 
verantwortliche Stelle für die Verarbeitung von Sozialdaten. Die Verantwortlich¬ 
keit umfasst den Umgang mit Daten im Rahmen der schriftlichen und elektroni¬ 
schen Aktenführung (vgl. Antwort der Bundesregierung zu den Fragen 2 und 3 
der Kleinen Anfrage der Fraktion DIE LINKE, auf Bundestagsdrucksache 
19/3412). 

Verantwortliche Stelle für die zentral verwalteten Verfahren der Informations¬ 
technik ist nach § 50 Absatz 3 Satz 3 SGB II die Bundesagentur für Arbeit (BA). 
Die Verantwortung umfasst die Bereitstellung und technische Anwendung der 
einzelnen IT-Verfahren. Nicht umfasst von § 50 Absatz 3 Satz 3 SGB II sind da¬ 
mit Fragen, die den Umgang mit einzelnen Sozialdaten betreffen. 

In § 44b Absatz 3 SGB II ist geregelt, inwieweit es den Trägern möglich ist, die 
gE bei ihrer Aufgabenerfüllung zu kontrollieren und zu steuern. Die Leistungs¬ 
träger bleiben für die ihnen nach § 6 Absatz 1 SGB II zugeordneten Aufgaben 
verantwortlich. Die Verantwortung bezieht sich auf die Rechtmäßigkeit und 
Zweckmäßigkeit der Aufgabenerfüllung, also auch auf die zweckmäßige Ausfül¬ 
lung von Ermessensspielräumen. Eine Abgrenzung von § 44b Absatz 3 SGB II 
und § 50 Absatz 3 SGB II ist mangels einer Konkurrenz der Nonnen nicht mög¬ 
lich. Beide Normen betonen die Verantwortlichkeit der jeweiligen Leistungsträ¬ 
ger. 


2. Wie bewertet die Bundesregierung die Auffassung der BA, dass es in der 
Verantwortung jedes einzelnen Jobcenters liegt, ob und welche Unterlagen 
gescannt und gespeichert werden, unabhängig davon, ob das Scannen aus 
Sicht der BA notwendig ist oder nicht? 

In gEen obliegt jedem Träger die Verantwortung für die recht- und zweckmäßige 
Erbringung seiner Leistungen. Hierzu gehört auch das Scannen und Speichern 
von Unterlagen. In ihrem Aufgabenbereich haben die Träger ein Weisungsrecht 
gegenüber der gE. Dies gilt nicht im Verantwortungsbereich der Trägerversamm¬ 
lung. Es ist deshalb im Einzelfall zu fragen, ob Unterlagen ausschließlich dem 
Aufgabenbereich eines Trägers zugeordnet werden können oder für Leistungen 
beider Träger relevant sind und deshalb in die Zuständigkeit der Trägerversamm¬ 
lung fallen. Letzteres dürfte in der Praxis der Regelfall sein. Die dargestellte Auf¬ 
fassung der BA entspricht daher der geltenden Rechtslage. 
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3. Sieht die Bundesregierung hier einen Regelungsänderungsbedarf aus daten¬ 
schutzrechtlicher Sicht, um vor dem Hintergrund der Digitalisierung eine 
einheitliche Vorgehensweise im ganzen Bundesgebiet zu ennöglichen? 

4. Wie bewertet die Bundesregierung das Fehlen einer einheitlichen Weisung, 
welche Unterlagen (nicht) in einem von der BA zentral verwalteten Verfah¬ 
ren erhoben und genutzt werden dürfen, insbesondere unter Berücksichti¬ 
gung des § 80 Absatz 1 Satz 1 Ziffer 3 SGB X? 

Ist gegenüber der zuständigen Rechts- und Fachaufsichtsbehörde angegeben 
worden, dass die BA keine Weisungsbefügnis habe, das unberechtigte Scan¬ 
nen und Speichern von Dokumenten auf ihren Servern und mit Hilfe ihrer 
Dienstleistungen zu untersagen? 

Die Fragen 3 und 4 werden gemeinsam beantwortet. 

Eine Weisung für ein einheitliches Verwaltungshandeln ist auf Grundlage des 
geltenden Rechts nicht möglich (siehe Antwort zu Frage 2). Regelungsbedarf be¬ 
steht nach Auffassung der Bundesregierung nicht. Die Jobcenter sind an gelten¬ 
des Recht gebunden. Die innerhalb dieses Rahmens durch die dezentrale Verant¬ 
wortung und die besondere Struktur der Verwaltungsorganisation bedingte Diver- 
sität ist vom Gesetzgeber gewollt. 

Nach § 80 Absatz 1 des Zehnten Buches Sozialgesetzbuch (SGB X) hat der Ver¬ 
antwortliche die Erteilung eines Auftrags im Sinne des Artikels 28 der Verord¬ 
nung (EU) 2016/679 zur Verarbeitung von Sozialdaten seiner Rechts- oder Fach¬ 
aufsichtsbehörde rechtzeitig vor der Auftragserteilung schriftlich oder elektro¬ 
nisch anzuzeigen. Auf die fehlende Weisungsbefugnis gegenüber den gEen war 
nicht hinzuweisen, da sich diese aus den gesetzlichen Regelungen ergibt. 


5. Wo ist das in der Antwort zu Frage 4 genannte „Rollen- und Berechtigungs¬ 
konzept“ zu finden (bitte Intemetquelle angeben oder Text anhängen)? 

Wie benennt sich der „IT-Geschäftsprozess“ eindeutig, der die Zugriffs¬ 
rechte verwaltet? 

6. Wo sind die in den Antworten zu den Fragen 8, 14 und 17 genannten „Be¬ 
rechtigungskonzepte“ zu finden, und welche sonstigen weiteren „Berechti¬ 
gungskonzepte“ gibt es in der BA und den Jobcentem (bitte jeweils Internet¬ 
quellen angeben oder Texte anhängen, insbesondere das „fachliche Berech¬ 
tigungskonzept für das Fachverfahren eAkte“ sowie zu den IT-Verfahren 
ERP-SAP, STEP, VerBIS, zPDV sowie ALLEGRO)? 

Die Fragen 5 und 6 werden gemeinsam beantwortet. 

Die Berechtigungskonzepte der IT-Verfahren bzw. ein Auszug dieser fachlichen 
Berechtigungskonzepte enthalten sicherheitsrelevante Informationen zur Infor¬ 
mationstechnik der BA. Unter Abwägung zwischen dem Auskunftsanspruch des 
Deutschen Bundestages einerseits und dem Schutz der Funktionsfähigkeit der In¬ 
fonnationstechnik der BA andererseits hat die Bundesregierung die erfragten In¬ 
fonnationen als Verschlusssache „VS — Vertraulich“ eingestuft und der Geheim¬ 
schutzstelle des Deutschen Bundestages zur Einsichtnahme übermittelt.* 

Das IT-Verfahren zPDV wurde durch STEP vollständig abgelöst und ist nicht 
mehr im Einsatz. 


Das Bundesministerium für Arbeit und Soziales hat die Antwort als „VS - Vertraulich" eingestuft. 

Die Antwort ist in der Geheimschutzstelle des Deutschen Bundestages hinterlegt und kann nach Maßgabe der Geheimschutzordnung 
eingesehen werden. 
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7. Wie bekommen die Beschäftigten in den Jobcentem die zentral in den Re¬ 
chenzentren gespeicherten Daten der leistungsberechtigten Personen auf ih¬ 
ren Bildschirmen angezeigt, wenn diese Daten laut Antwort der Bundesre¬ 
gierung zu Frage 6 nicht übennittelt (i. S. v. übertragen, gesendet, transpor¬ 
tiert) werden? 

Wie werden diese Daten von den Rechenzentren zu den lokalen Jobcentern 
übennittelt (i. S. v. übertragen, gesendet, transportiert)? 

Hat die BA hierfür eine eigene materielle Infrastruktur (Kabel o. ä.), die alle 
Jobcenter und Dienststellen vernetzt, oder nutzt die BA die Infrastruktur des 
Internets? 

Falls die Infrastruktur des Internets genutzt wird, wie werden die Daten wäh¬ 
rend der Übermittlung verschlüsselt? 

Nach den der Bundesregierung vorliegenden Informationen der BA kommunizie¬ 
ren die zentralen Anwendungen mit den Clientarbeitsplätzen über das BA-Intra- 
net. Das BA-Intranet besteht in den Dienst- und Geschäftsstellen aus BA-eigenen 
Local Area-Networks (LAN) mit BA-eigener Infrastruktur und aus dem dienst- 
steilen- und geschäftsstellenübergreifenden Weitverkehrsnetz (Wide Area-Net- 
work = WAN). Das WAN, an dem die BA-Dienststellen direkt angebunden sind, 
wird von einem Netzwerk-Provider betrieben und nutzt die Infrastruktur des In¬ 
ternets. Die Kommunikation ist mittels sog. Transportverschlüsselung (TLS/SSL) 
geschützt. 


8. Ist nach Kenntnis der Bundesregierung eine Zertifizierung mit dem „Deut¬ 
schen IT-Sicherheitszertifikat des BSI“ (Antwort der Bundesregierung zu 
Frage 7) auf Basis des IT-Grundschutzes, der auf „Standard-Sicherheitsmaß¬ 
nahmen“ für eine „angemessene Basis-Sicherheit“ (www.bsi.bund.de/DE/ 
Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/allgemein/ 
einstieg/01001.html) zielt, geeignet, sichere und qualifizierte Aussagen über 
die Gewährleistung des Sozialdatenschutzes nach dem Zweiten Kapitel 
SGB X zu treffen (bitte Antwort mit Belegen begründen)? 

Wurde im Rahmen der o. g. Zertifizierung eine Schutzbedarfsanalyse gemäß BSI 
TR-03138 (RESISCAN) (siehe www.bsi.bund.de/SharedDocs/Downloads/ 

DE/BSI/Publikationen/T echnischeRichtlinien/TR0313 8/TR-03138 .pdf?_ 

blob=publicationFile&v=4) durchgeführt? 

Falls ja, welchen Klassen wurde das Schriftgut, z. B. Kontoauszüge oder 
Wohngeldbescheide, zugeordnet? 

Die nach dem BSI-Grundschutz erstellten IT-Sicherheitskonzepte orientieren 
sich am festgestellten Schutzbedarf der Daten. Der Schutzbedarf von Sozialdaten 
ist grundsätzlich „hoch“ eingestuft. Dadurch werden neben dem IT-Grundschutz 
in den IT-Sicherheitskonzepten weitere entsprechende IT-Sicherheitsmaßnahmen 
ergriffen (BSI-Grundschutzkataloge und eigene IT-Sicherheitsmaßnahmen) und 
umgesetzt, um den erforderlichen Schutzbedarf zu gewährleisten. 

Gemäß den Vorgaben des BSI hat die BA den Schutzbedarf für die Scandienst¬ 
leistung „hoch“ eingestuft. Die Zertifizierung bezieht sich auf die BSI-Zertifizie- 
rung des beauftragten Scandienstleisters Deutsche Post. 
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9. Ist es möglich, im IT-Verfahren ALLEGO oder im IT-Verfahren eAkte so¬ 
genannte virtuelle Mitarbeiter (vMA) anzulegen und mit Berechtigungen 
zum lesenden und/oder schreibenden Datenzugriff zu versehen? 

Warum ist es derzeit möglich, im IT-Fachverfahren VerBIS über die Anmel¬ 
dung als vMA unzulässig ohne Berechtigung und somit auch ohne persön¬ 
lich zuordnungsfähige Protokollierung des Zugriffs auf personenbezogene 
Daten von Leistungsbeziehenden zuzugreifen (siehe Weisung 201804009 
vom 20. April 2018 der BA)? 

Nach Auskunft der BA ist in den IT-Verfahren ALLEGRO und eAkte eine An¬ 
meldung als virtueller Mitarbeiter bzw. dessen Anlage nicht möglich. 

Im IT-Fachverfahren VerBIS wurde die Funktionalität mit der Programmversion 
am 13. Juli 2018 technisch unterbunden und steht somit nicht mehr zur Verfü¬ 
gung. Ein Zugriff auf personenbezogene Daten ist damit über einen virtuellen 
Mitarbeiter nicht mehr möglich. 


10. Vertritt die Bundesregierung der Auffassung, dass, wie in der Antwort zu 
Frage 11 formuliert wird, den Jobcentem und Arbeitsagenturen bezüglich 
der Fristen zur Löschung von Daten zur Inanspruchnahme von Dienstleis¬ 
tungen, Geldleistungen und Sachleistungen nach dem SGB II und dem 
SGB III sowie von Daten, die der Finanzverwaltung zu melden sind, ein Er¬ 
messen zumindest für atypische Fälle eingeräumt wird („soll“)? 

Und wie verhält sich diese Auffassung zu § 84 SGB X, aus der nach Auffas¬ 
sung der Fragestellenden kein Ermessen hervorgeht („sind zu löschen“) 
(bitte begründen)? 

Sofern die Voraussetzungen zur Löschung von personenbezogenen Daten vorlie¬ 
gen, ist der betreffende Datensatz zu löschen (Artikel 5 Absatz 1 Buchstabe c und 
e sowie ggf. Artikel 17 der Verordnung (EU) 2016/679 des Europäischen Parla¬ 
ments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der 
Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Auf¬ 
hebung der Richtlinie 95/46/EG [Datenschutz-Grundverordnung] - DSGVO). Ob 
die Löschvoraussetzungen tatsächlich gegeben sind, ist im Einzelfall zu prüfen. 
Dabei handelt es sich nicht um die Ausübung von Ennessen, sondern um die Prü¬ 
fung von Tatbestandsvoraussetzungen, ob ein Vorgang tatsächlich abgeschlossen 
ist oder nicht, z. B. ob der Widerruf oder die Rücknahme eines Verwaltungsaktes 
in Betracht kommt. Zudem muss geprüft werden, ob die Daten aufgrund einer 
rechtlichen Verpflichtung (z. B. Aufbewahrungsvorschriften) des Verantwortli¬ 
chen nur nach einer bestimmten Frist gelöscht werden dürfen. 


11. Wer kontrolliert nach Kenntnis der Bundesregierung, ob die Fristen zur Lö¬ 
schung von Daten gesetzesgemäß umgesetzt werden, und wie dicht ist die 
Kontrolle (bezogen auf einzelne Jobcenter und auf ehemals Leistungsbezie¬ 
hende)? 

Werden bei festgestellten Verstößen die davon betroffenen ehemaligen Leis¬ 
tungsbeziehenden informiert? 

Und falls nein, warum nicht? 

Die Verfahren der BA werden vor Inbetriebnahme auch in Bezug auf technische 
Löschkonzepte geprüft, bei denen festgelegte Löschfristen implementiert werden, 
nach denen aufgrund technischer Parameter gelöscht wird. 
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In den Agenturen für Arbeit werden die Fristen zur Löschung von Daten stich¬ 
probenartig von der Datenschutzbeauftragten der BA kontrolliert. Darüber hinaus 
werden Altbestände stichprobenweise ausgewertet. 

Die Jobcenter haben eigene behördliche Datenschutzbeauftragte, die den Daten¬ 
bestand vor Ort kontrollieren. 

Nach Artikel 34 Absatz 1 DSGVO hat ein Verantwortlicher die betroffene Person 
unverzüglich von einer Verletzung des Schutzes personenbezogener Daten zu in¬ 
formieren, wenn die Verletzung voraussichtlich ein hohes Risiko für die persön¬ 
lichen Rechte und Freiheiten der natürlichen Personen zur Folge hat. Soweit im 
Einzelfall eine Prüfung ergibt, dass voraussichtlich ein solch hohes Risiko be¬ 
steht, werden die (ehemaligen) Leistungsbeziehenden vom Verantwortlichen in¬ 
formiert. 

12. Warum „sollen“ Daten zur Inanspruchnahme von Dienstleistungen, Geld- 
und Sachleistungen nach SGB II zehn Jahre nach Beendigung des Falls ge¬ 
löscht werden (siehe Antwort zu Frage 11), während die zuständige Auf¬ 
sichtsstelle für den Datenschutz, die Bundesbeauftragte für den Datenschutz 
und die Infonnationsfreiheit (BfDI), in ihren uns bekannten Berichten zu da¬ 
tenschutzrechtlichen Beratung- und Kontrollbesuchen (insg. 11 Berichte, 
verfügbar über https://fragdenstaat.de/anfrage/kontrollberichtl 1-jobcentem- 
landkreis-stamberg-frankfurt-am-main-merzig-wadem-mannheim-stonnam- 
dusseldorfulm-stadt-kassel-region-hannover-leipzig-landkreis-ahrweiler/ 
95407/anhang/KontrollberichteJC.pdf) regelmäßig einen Zeitraum von fünf 
Jahren (60 Monaten) empfiehlt? 

Ist der Bundesregierung bekannt, welche Haltung die Bundesbeauftragte für 
den Datenschutz und die Infonnationsfreiheit (BfDI) zur Verdopplung der 
von ihr empfohlenen Frist hat? 

Es ist zutreffend, dass die Bundesbeauftragte für den Datenschutz und die Infor¬ 
mationsfreiheit (BfDI) für die Löschung von Daten einen Zeitraum von fünf Jah¬ 
ren empfiehlt. Die Bundesregierung hält eine Frist von zehn Jahren für erforder¬ 
lich, die auf der gesetzlichen Möglichkeit der Rückforderung von Leistungen be¬ 
ruht, wenn in diesem Zeitraum bekannt wird, dass Leistungen zu Unrecht gewährt 
wurden. Das Bundesministerium für Arbeit und Soziales (BMAS) befindet sich 
zu den unterschiedlichen Auffassungen in Abstimmung mit der BfDI. 


13. Welche (dienst-)rechtlichen Konsequenzen haben die Jobcenter bzw. deren 
Geschäftsführungen zu erwarten, wenn die Fristen zur Löschung von Daten 
nicht eingehalten werden (zu frühe bzw. zu späte Löschung von Daten)? 

Es stehen die allgemeinen arbeits- und beamtenrechtlichen Instrumente zur Ahn¬ 
dung von Pflichtverletzungen zur Verfügung. Welches Instrument in Betracht 
kommt, hängt von der Schwere des Pflichtverstoßes und den Gesamtumständen 
des Einzelfalls ab. Dabei ist stets auch der Verhältnismäßigkeitsgrundsatz zu 
wahren. 
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14. Verfugt die Bundesregierung über eine Einschätzung fachkundiger Bediens¬ 
teter, wie viele der gemeinsamen Einrichtungen von der Möglichkeit Ge¬ 
brauch machen, eigene Servicecenter einzurichten? 

Ist der Bundesregierung mindestens ein Jobcenter gE bekannt, das kein 
SGB-II-Servicecenter durch die BA beauftragt hat (wenn ja, bitte diese Job¬ 
center benennen)? 

Die Bundesregierung hat keine Kenntnis darüber, wie viele gEen eigene Service 
Center betreiben. Von den insgesamt 303 gEen haben 119 gEen die Dienstleis¬ 
tung Service Center nicht eingekauft (siehe Anlage). 


15. Haben die Beschäftigten der SGB-II-Servicecenter lesenden Zugriff auf ein¬ 
gescannte Unterlagen, z. B. eingereichte Gehaltsabrechnungen oder Konto¬ 
auszüge (soweit diese eingescannt wurden)? 

Soweit eingescannte Unterlagen in einer Akte abgespeichert werden, auf die die 
Service Center-Mitarbeiterinnen und -Mitarbeiter zur Erfüllung ihrer Aufgaben 
generell Zugriff haben, können diese die Unterlagen einsehen. 


16. Nach welchen Kriterien richtet sich der Preis, den die Jobcenter für die „Ein¬ 
kaufsdienstleistung“ Servicecenter bezahlen, und wie hoch ist dieser Preis 
(bitte auch nach Jobcentern, Regionen sowie nach Jahren 2010 bis 2017 dif¬ 
ferenziert ausweisen)? 

Die BA kalkuliert den Kostensatz für die Serviceleistung Service Center aus dem 
für die Erbringung der Serviceleistung notwendigen Personal. Diese Personal- 
und Sachkosten werden auf die Anzahl der betreuten Bedarfsgemeinschaften um¬ 
gelegt. Dadurch wird ein Kostensatz pro Bedarfsgemeinschaft berechnet, der ge¬ 
genüber der gE abgerechnet wird. 

Kostensätze: 

2010 3,91 Euro pro Bedarfsgemeinschaft und Monat 

2011 3,13 Euro pro Bedarfsgemeinschaft und Monat 

2012 3,43 Euro pro Bedarfsgemeinschaft und Monat 

Mit dem Inkrafttreten der Verwaltungskostenfeststellungsverordnung im Jahr 
2012 wurden ab dem Folgejahr Staffelkostensätze ermittelt. Je nachdem für wel¬ 
chen Zeitraum eine gE die Serviceleistung in Anspruch nimmt (ein, zwei oder 
drei Jahre), ergeben sich unterschiedliche Kostensätze. Im Jahr 2017 wurde zu¬ 
dem eine Komponente in die Kalkulation aufgenommen, die eine verursacherge¬ 
rechte Abrechnung ermöglicht. 
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Kostensätze für ein-, zwei- oder drei-Jahresvereinbarungen: 


2013 

3,72 

3,62 

3,55 Euro pro Bedarfsgemeinschaft und Monat 

2014 

3,93 

3,82 

3,74 Euro pro Bedarfsgemeinschaft und Monat 

2015 

3,95 

3,84 

3,76 Euro pro Bedarfs gemeinschaft und Monat 

2016 

4,06 

3,95 

3,87 Euro pro Bedarfsgemeinschaft und Monat 

2017 

2,96 

2,88 

2,82 Euro pro Bedarfsgemeinschaft und Monat 
zuzüglich 0,66 Euro pro Gesprächsminute 


Die genannten Kostensätze gelten bundeseinheitlich für alle gEen. Separate Kos¬ 
tensätze für einzelne gEen oder Regionen werden von der BA nicht kalkuliert. 


17. Hat die BA nach Kenntnis der Bundesregierung im Rahmen der Auftragser¬ 
teilung nach § 80 SGB X geprüft, wie viel kostengünstiger die beauftragten 
privaten Unternehmen für die in der Antwort zu Frage 16 genannten 
120 000 Einziehungsfälle Unterstützungsleistungen bei der Einziehung er¬ 
bringen können (bitte in absoluten Zahlen sowie in Prozent der vermuteten 
Einsparung angeben)? 

Teilt die Bundesregierung die Auffassung der BA, dass diese erwarteten Ein¬ 
sparungen so hoch sind, dass dafür die Weitergabe von Namen, Geburtsda¬ 
ten, alten Adressen und die Höhe der Forderungen der BA von sozialversi¬ 
cherten Personen an private Dritte berechtigt ist, anstatt die neuen Adressen 
selbst zu ermitteln (bitte begründen)? 

Die BA hat nach § 76 Absatz 1 des Vierten Buches Sozialgesetzbuch (SGB IV) 
Einnahmen rechtzeitig und vollständig zu erheben. 

Die Beauftragung Dritter als Verwaltungshelfer im Rahmen der Auftragsverar¬ 
beitung gemäß § 80 Absatz 3 SGB X ist zulässig zur Entlastung des Inkasso-Ser¬ 
vice von Aufgaben, die nicht zwingend durch eigene Mitarbeiterinnen und Mit¬ 
arbeiter erledigt werden müssen. Die beauftragten Verwaltungshelfer unterstüt¬ 
zen die BA, bestandkräftig niedergeschlagene Forderungen wieder in die Bear¬ 
beitung zu nehmen. Dahinter steht die Absicht, das Einziehungsergebnis für den 
Rechtskreis des Dritten Buches Sozialgesetzbuch (SGB III) weiter zu verbessern 
und Forderungen, die die Versichertengemeinschaft rechtmäßig gegen (ehema¬ 
lige) Leistungsempfängerinnen und Leistungsempfänger hat, dem Versicherten¬ 
haushalt als Einnahmen wieder zuzuführen. 

Ungeachtet dessen wurde nach Auskunft der BA abgewogen, ob die Übertragung 
eines Teils der Verwaltungsaufgaben im Einziehungsprozess (u. a. Anschreiben/ 
Zahlungserinnerung, Adressermittlung) wirtschaftlich ist. Die Bilanz der bisheri¬ 
gen Vereinbarungsdauer zeigt, dass die zusätzlichen Einnahmen die Aufwände 
der BA deutlich übersteigen und sich damit die Annahmen, die der Entscheidung 
zugrunde lagen, als zutreffend erwiesen haben bzw. noch übertroffen wurden. 
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18. Nach welchen Kriterien richtet sich der Preis, den die Jobcenter für die „Ein¬ 
kaufsdienstleistung“ Inkasso-Service bezahlen, und wie hoch ist dieser Preis 
(bitte auch ggf. nach Jobcentern und Regionen sowie nach Jahren 2010 bis 
2017 differenziert ausweisen)? 

Die BA kalkuliert den Kostensatz für die Serviceleistung Inkasso aus dem für die 
Erbringung der Serviceleistung notwendigen Personal. Diese Personal- und Sach¬ 
kosten werden auf die Anzahl der zahlungsgestörten Belege umgelegt. Dadurch 
wird ein Kostensatz pro zahlungsgestörtem Beleg berechnet, der gegenüber den 
gEen abgerechnet wird. 

Kostensätze: 


2010 

21,58 Euro 

pro Schuldnerkonto 

2011 

9,34 Euro 

pro Annahmeanordnung 

2012 

5,75 Euro 

pro zahlungsgestörtem Beleg 


Mit dem Inkrafttreten der Verwaltungskostenfeststellungsverordnung im Jahr 
2012 wurden ab dem Folgejahr Staffelkostensätze ermittelt. Je nachdem für wel¬ 
chen Zeitraum die gE die Serviceleistung in Anspruch nimmt (ein, zwei oder drei 
Jahre), ergeben sich unterschiedliche Kostensätze. 


Kostensätze für ein-, zwei- oder drei-Jahresvereinbarungen: 


2013 

6,26 

6,08 

5,96 Euro pro zahlungsgestörtem Beleg 

2014 

4,27 

4,15 

4,07 Euro pro zahlungsgestörtem Beleg 

2015 

4,44 

4,31 

4,23 Euro pro zahlungsgestörtem Beleg 

2016 

5,08 

4,93 

4,83 Euro pro zahlungsgestörtem Beleg 

2017 

21,84 

21,21 

20,80 Euro pro zahlungsgestörtem Beleg 


Der Anstieg des Kostensatzes vom Jahr 2016 auf das Jahr 2017 beruht auf der 
Einführung eines „Collections Management (CM)“ im Verfahren ERP zur Unter¬ 
stützung eines effizienteren Mahnsystems. Hieraus resultiert eine geringere An¬ 
zahl abzurechnender zahlungsgestörter Belege bei sonst nahezu gleichbleibenden 
Kosten. 

Die genannten Kostensätze gelten bundeseinheitlich für alle gEen. Separate Kos¬ 
tensätze für einzelne gEen oder Regionen kalkuliert die BA nicht. 


19. Wie genau definieren sich die „Kompetenzgruppen“ in der eAkte, auf die in 
der Antwort zu Frage 20 verwiesen wird (bitte Link auf entsprechende Wei¬ 
sung bzw. Text der BA der Antwort beifügen)? 

Eine Kompetenzgruppe enthält einen oder mehrere Aktentypen (= Art der Fach¬ 
akte, z. B. ALGII). Anwenderinnen und Anwender, denen die Berechtigung für 
eine Kompetenzgruppe vergeben wurde, haben Zugriff auf alle Akten der in die¬ 
ser Kompetenzgruppe enthaltenen Aktentypen innerhalb ihrer Heimatdienst¬ 
stelle. Für eine Anwenderin oder einen Anwender können auch mehrere Kompe¬ 
tenzgruppen vergeben werden, wenn dies fachlich erforderlich ist. Die Entschei¬ 
dung, welchen Kompetenzgruppen die Anwenderin oder der Anwender zugeord¬ 
net wird, trifft in dezentraler Verantwortung die jeweilige gE. 
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Eine Übersicht über die Zuordnung von Aktentypen zu Kompetenzgruppen ergibt 
sich aus dem fachlichen Berechtigungskonzept eAkte Mandant SGB II, Anhang 2 
„Übersicht Kompetenzgruppen“. Diese Unterlage wurde von der Bundesregie¬ 
rung als Verschlusssache „VS-Vertraulich“ eingestuft und der Geheimschutz¬ 
stelle des Deutschen Bundestages zur Einsichtnahme übermittelt (es wird auf die 
Begründung in der Antwort zu den Fragen 5 und 6 verwiesen).* 


20. Wie ist die Diskrepanz zwischen der Aussage in der Antwort zu Frage 20, 
dass Kontoauszüge und Lohnabrechnungen nicht durch die Integrationsfach¬ 
kräfte einsehbar wären, und der Aussage in der Antwort zu den Fragen 22 und 
23, dass Kontoauszüge in der Regel nicht digitalisiert würden, zu verstehen? 

Teilt die Bundesregierung die Auffassung der Fragestellenden, dass die Aus¬ 
sage, dass Kontoauszüge „in der Regel“ nicht digitalisiert werden, so zu ver¬ 
stehen ist, dass in der Praxis der Jobcenter eingereichte Kontoauszüge in der 
überwiegenden Mehrheit der Fälle doch digitalisiert werden, wie beispiels¬ 
weise die uns bekannten Berichte zu datenschutzrechtlichen Beratungs- und 
Kontrollbesuchen der Bundesbeauftragten für den Datenschutz und die Infor¬ 
mationsfreiheit (https://fragdenstaat.de/anffage/kontrollberichtl 1-jobcentem- 
landkreis-stamberg-frankfürt-am-main-merzig-wadem-mannheim-stonnam- 
dusseldorfulm-stadt-kassel-region-hannover-leipzig-landkreis-ahrweiler/ 
95407/anhang/KontrollberichteJC.pdf) nahelegen (bitte Antwort begründen)? 

Kontoauszüge sind in der Regel nicht zu digitalisieren, da ein Vennerk über die 
Vorlage und Prüfung von Kontoauszügen oft ausreichend ist. Das Scannen und 
Speichern von Kontoauszügen ist jedoch zulässig, wenn diese Tatsachen enthal¬ 
ten, die sich unmittelbar auf den Leistungsanspruch auswirken (z. B. wenn sich 
aus den Unterlagen ein weiterer Ennittlungsbedarf oder eine Änderung in der 
Leistungshöhe ergibt). Insofern kann die Frage, ob Kontoauszüge zur Akte zu 
nehmen sind, nicht pauschal beurteilt werden, sondern ist in jedem Einzelfall in¬ 
dividuell zu entscheiden. Die elektronische Akte beinhaltet verschiedene Akten¬ 
typen. Zur Akte genommene Kontoauszüge und Lohnabrechnungen werden im 
Aktentyp 9001 (ALGII) gespeichert. Auf diesen Aktentyp haben Integrations¬ 
fachkräfte keinen Zugriff, eine Einsichtnahme aller darin enthaltenen Dokumente 
ist für diesen Mitarbeiterkreis ausgeschlossen. Integrationskräfte erhalten auf den 
Aktentyp 9001 (ALGII) nur Zugriff, wenn diese auch die Leistungssachbearbei- 
tung übernehmen. 


21. Gab es nach Kenntnis der Bundesregierung im Rahmen der Planung und 
Einführung der eAkte rechtliche Gutachten zur Wahrung von Datenschutz 
und Datensicherheit? 

Wenn ja, welche (bitte erreichbare Quellen angeben; die Frage wurde wort¬ 
gleich auf Bundestagsdrucksache 19/2916 (Frage 2) bereits gestellt, jedoch 
leider nicht beantwortet oder vergessen)? 

Die BA hat die Gesamtlösung unter Beachtung des Datenschutzes und der Daten¬ 
sicherheit in Begleitung und Abstimmung mit der BfDI entwickelt. Die Daten¬ 
schutzaufsicht hat in diesem Zusammenhang zu zahlreichen Rechtsfragen Stel¬ 
lung genommen und Verbesserungswünsche geäußert, denen die BA nachgekom¬ 
men ist. Spezielle datenschutzrechtliche Gutachten hat die BA nicht in Auftrag 


Das Bundesministerium für Arbeit und Soziales hat die Antwort als „VS - Vertraulich" eingestuft. 

Die Antwort ist in der Geheimschutzstelle des Deutschen Bundestages hinterlegt und kann nach Maßgabe der Geheimschutzordnung 
eingesehen werden. 
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gegeben. Im Übrigen wird auf die Antwort der Bundesregierung zu Frage 21 der 
Kleinen Anfrage der Fraktion DIE LINKE, auf Bundestagsdrucksache 19/3412 
verwiesen. 


22. Vertritt die Bundesregierung die Auffassung, dass „eine Zertifizierung durch 
einen externen Prüfer“ für das eAkten-Dokumenten-Management-System 
(DMS) nach den Anforderungen für die Prüfkriterien für Dokumentenma¬ 
nagementlösungen (PK-DML; siehe Antwort zu Frage 21) in der Lage ist, 
eine qualifizierte Aussage zur Wahrung des Datenschutzes, insbesondere des 
Schutzes von Sozialdaten gemäß des Zweiten Kapitels des SGB X, zu treffen? 

Welche Prüfkriterien des PK-DML befassen sich konkret mit der Wahrung 
des Sozialdatenschutzes (bitte aufzählen und ggf. ausführen)? 

Die Einhaltung des Datenschutzes wird nicht alleine über die Zertifizierung nach 
den PK-DML geprüft. Auch der Bereich JDC - Justiziariat, Datenschutz, Com¬ 
pliance in der BA prüft im Zusammenwirken mit der BfDI regelmäßig die Ver¬ 
fahren der BA. Bei der Weiterentwicklung von IT-Verfahren prüft JDC in der 
verpflichtenden Vorabkontrolle, die im Rahmen der Meldungen für das Verfah¬ 
rensverzeichnis nach § 4g i. V. m. §§ 18, 4e und 9 des Bundesdatenschutzgeset¬ 
zes (BDSG) stattfindet, ob der Datenschutz eingehalten wird. 

Die prüfende Stelle „TÜV Informationstechnik GmbH“ ist aufgrund ihrer Akkre¬ 
ditierungen/Zertifizierungen für die Durchführung der Prüfung geeignet. Die Zer¬ 
tifizierung aufgrund der Prüfkriterien der PK-DML stellt eine qualifizierte Aus¬ 
sage für die Einhaltung des Datenschutzes dar. 

Die Prüfung nach den PK-DML umfasst die Kemkriterien Ordnungsmäßigkeit, 
Vollständigkeit, Nachvollziehbarkeit, Unveränderbarkeit und Verfügbarkeit. 

Für den Datenschutz ist insbesondere das Kemkriterium „Ordnungsmäßigkeit“ 
von Bedeutung, da hier die Sicherstellung der Vertraulichkeit („Dokumente und 
Daten können nur von berechtigten Benutzern eingesehen und bearbeitet wer¬ 
den“) geprüft wird. 


23. Werden die Scanzentren, in denen das bei der BA und den Jobcentem gE 
eingehende Schriftgut digitalisiert wird, von der Deutschen Post AG betrie¬ 
ben, wie in der Antwort zu den Fragen 22 und 23 mitgeteilt wird, oder von 
der Deutschen Post E-POST Solutions GmbH, wie die Zertifizierung auf der 
Webseite des Bundesamtes für Sicherheit in der Informationstechnik (BSI; 
www.bsi.bund.de/DE/Themen/ZertifizierungundAnerkennung/Management 
sy stemzertifizierung/Zertifizierung27001 /ErteilteZertifikate/iso27001 _ 
zertifikate.html) nahelegt? 

Der verantwortliche Vertragspartner der BA ist die Deutsche Post AG. Im Verga¬ 
beverfahren wurde die Deutsche Post E-Post Solutions GmbH als direkter Sub- 
untemehmer der Deutsche Post AG für die wesentliche Leistung „Implementie¬ 
rung Digitalisierungslösung, Durchführung der Digitalisierungslösung und Lage¬ 
rung, Betrieb der Scanzentren und Nachbearbeitungsstandorte“ angemeldet. Die¬ 
ser Bereich wurde, neben dem Informationsverbund Logistik, in einen eigenen 
Informationsverbund abgegrenzt und als solcher zertifiziert. Dieses Zertifikat der 
IS027001 nach BSI Grundschutz ist auf das betreibende Unternehmen, die Deut¬ 
sche Post E-Post Solutions GmbH, ausgestellt. Die Deutsche Post E-Post Soluti¬ 
ons GmbH ist eine 100-prozentige Tochter mit Beherrschungsvertrag und somit 
Teil des Konzerns Deutsche Post AG. 
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24. Hat die BA im Rahmen der Auftragserteilung nach § 80 SGB II geprüft, wie 
viel kostengünstiger das beauftragte private Unternehmen die Aufgaben der 
in der Antwort zu den Fragen 22 und 23 genannten Scanzentren erbringen 
kann als die B A selbst (bitte in absoluten Zahlen sowie in Prozent der erwar¬ 
teten Einsparung angeben)? 

Wie viel bezahlt die BA (nur BA und Familienkasse) und wie viel bezahlen 
die Jobcenter (insgesamt bzw. je Jobcenter) für die Dienstleistungen rund um 
das Einscannen des eingehenden Schriftguts (Transport, Scannen, Entsor¬ 
gung etc.) an die Deutsche Post AG bzw. Tochterfinnen der Post (bitte nach 
Jahren 2014 bis aktuell aufschlüsseln und Schätzungen für 2018 bis 2020 
beifügen)? 

Wie werden diese Kosten auf die Jobcenter verteilt? 

Teilt die Bundesregierung die Auffassung der BA, dass diese erwarteten Ein¬ 
sparungen so hoch sind, dass dafür sensible Sozialdaten an private Dritte, die 
zudem Beschäftigte von Tochter- und Zeitarbeitsuntemehmen einsetzen, 
weitergegeben werden, anstatt die Aufgaben selbst zu erledigen (bitte be¬ 
gründen)? 

Es wird davon ausgegangen, dass in der Frage die Regelung in § 80 SGB X ge¬ 
meint ist. 

Vor der Auftragsvergabe hat die BA im Rahmen des Projekts eAkte eine Unter¬ 
suchung durchgeführt, in der die Varianten Eigenbetrieb und Fremdbetrieb der 
Digitalisierung betrachtet wurden. Durch das Projekt wurde eine Gegenüberstel¬ 
lung dieser Szenarien und eine gewichtete Bewertung vorgenommen. Diese Be¬ 
wertung zeigt insgesamt einen deutlichen Vorteil für den Fremdbetrieb. Flierbei 
hat die BA nicht nur wirtschaftliche Gesichtspunkte berücksichtigt, sondern auch 
Kriterien wie z. B. Personalsituation, rechtliche Situation, Akzeptanz und Mach¬ 
barkeit. Aufgrund der damaligen Annahmen eines Seitenpreises von 10,5 et für 
den Eigenbetrieb und 6,5 et für den Fremdbetrieb resultierte eine jährliche Diffe¬ 
renz von ca. 9,3 Mio. Euro. 

Die erwähnte Untersuchung hat die BA bereits im Jahr 2006 vorgenommen. Vor 
der Einführung im SGB II wurde keine neue grundsätzliche Entscheidung getrof¬ 
fen, da durch die Mandantenfähigkeit der Verträge die Aufnahme des weiteren 
Rechtskreises in die vorhandene Lösung möglich war. Durch das Vorprojekt zur 
Pilotierung der eAkte in sechs Pilot-Jobcentem wurde die Flächentauglichkeit der 
Lösung für den Rechtskreis SGB II bestätigt. Das BMAS hat die Einführung der 
eAkte SGB II mit Schreiben vom 20. Januar 2016 genehmigt. 

Eine Aufstellung über die an den Scandienstleister gezahlten Summen getrennt 
nach Rechtskreisen und den Jahren 2014 bis 2020 kann in der Geheimschutzstelle 
des Deutschen Bundestages eingesehen werden. Bei den angegebenen Zahlungen 
handelt es sich um schützenswerte Informationen im Interesse der Deutsche Post 
AG. Unter Abwägung zwischen dem Auskunftsanspruch des Deutschen Bundes¬ 
tages einerseits und dem Schutz von Betriebs- und Geschäftsgeheimnissen der 
Deutsche Post AG andererseits hat die Bundesregierung die abgeffagten Infonna¬ 
tionen als Verschlusssache „VS - Vertraulich“ eingestuft und der Geheimschutz¬ 
stelle des Deutschen Bundestages übermittelt.* 


Das Bundesministerium für Arbeit und Soziales hat die Antwort als „VS - Vertraulich" eingestuft. 

Die Antwort ist in der Geheimschutzstelle des Deutschen Bundestages hinterlegt und kann nach Maßgabe der Geheimschutzordnung 
eingesehen werden. 
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Bei den Zahlen für das Jahr 2018 handelt es sich um eine lineare Hochrechnung. 
Für die Jahre 2019 und 2020 wurden die Beträge aus dem Haushaltsaufstellungs¬ 
verfahren 2019 zu Grunde gelegt. Eine Aufteilung nach Jobcentem (hier gEen) 
ist nicht möglich. 

Wie oben beschrieben hat die B A nicht rein aus wirtschaftlichen Gesichtspunkten 
entschieden. Es war der BA bewusst, dass sich bei einem Fremdbetrieb die Um¬ 
setzung von rechtlichen Anforderungen z. B. bezüglich des Datenschutzes 
schwieriger gestalten als bei einem Eigenbetrieb. Die BA hat bei der Entschei¬ 
dung berücksichtigt, dass die Übernahme der Aufgabe durch einen erfahrenen 
Dienstleister erheblich zur Risikominimierung beiträgt. Durch konkrete Anforde¬ 
rungen an den Dienstleister und eine entsprechende Vertragsgestaltung wird die 
Einhaltung der Datenschutzmaßnahmen sichergestellt. Zu einzelnen Daten¬ 
schutzmaßnahmen wird auf die Antworten zu den Fragen 31 ff. verwiesen. 


25. Hat die Bundesregierung darüber Kenntnis, wer (welche Stelle bzw. Abtei¬ 
lung) praktisch in den Jobcentem für die Entscheidung, welche Unterlagen 
an die Scanzentren übergeben werden, zuständig ist (siehe Antwort zu den 
Fragen 22 und 23)? 

Welche Stelle bzw. Abteilung erstellt in den Jobcentern den „Verarbeitungs¬ 
auftrag“ für die Scanzentren (siehe Antwort zu Frage 27)? 

Es gibt nach Auskunft der BA drei Scanauftragsarten („Verarbeitungsaufträge“), 

mit denen gEen ihre Unterlagen zur Digitalisierung an die Scanzentren geben: 

• Digitalisierung von Tagespost - wird i. d. R. von Mitarbeiter/innen erstellt, die 
Poststellentätigkeiten wahmehmen; 

• Digitalisierung von Ablageaufträgen - wird i. d. R. von Mitarbeiter/innen er¬ 
stellt, die die Bearbeitung durchführen werden oder durchgeführt haben (z. B. 
Arbeitsvermittlung, Leistungsgewährung); 

• Digitalisierung von Sachbearbeitungsdokumenten — wird i. d. R. von Mitarbei¬ 
ter/innen erstellt, die die Bearbeitung durchgeführt haben (z. B. Arbeitsver¬ 
mittlung, Leistungsgewährung). 


26. Wurden diese Stellen bzw. Abteilungen im Rahmen der Umstellung auf die 
eAkte personell aufgestockt? 

Wennja, inwieweit (bitte Veränderung in Stellen je Jobcenter oder in Stellen 
je 1 000 Bedarfsgemeinschaften beziffern und ausführen)? 

Falls Stellen in diesen Abteilungen aufgestockt wurden, wurden diese Stel¬ 
len durch Umbesetzung bzw. Einsparungen an anderen Stellen in den Job¬ 
centem besetzt oder durch Neueinstellungen bzw. zusätzliche Stellen? 

Im Rahmen der Umstellung auf die eAkte wurden die Prozesse zur Poststeuerung 
in den gEen angepasst. Nach § 44c Absatz 2 SGB II ist für personalwirtschaftli¬ 
che Angelegenheiten die Trägerversammlung der gE verantwortlich. 
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27. Welche Qualifikation und Kompetenz haben die Beschäftigten dieser Stellen 
bzw. Abteilungen, um einzuschätzen, ob die fachlich zuständige Leistungs¬ 
oder Vennittlungsabteilung das jeweils eingereichte Schriftgut, z. B. einen 
Kontoauszug oder eine Kopie eines Scheidungsurteils, für eine spätere Ent¬ 
scheidung benötigen, damit entschieden werden kann, ob dieses Schriftstück 
somit zum Scannen weiterzuleiten ist oder nicht (siehe Antwort zu den Fra¬ 
gen 22 und 23)? 

Die BA hat den gEen die Arbeitshilfe „Sortierhilfe für Mitarbeiter/innen, die 
Poststellentätigkeiten wahrnehmen“ zur Verfügung gestellt. Darin sind alle Post¬ 
stücke (Sendungen/Dokumente) leicht verständlich beschrieben, die nicht direkt 
zum Scannen gegeben werden, sondern auszusortieren und in die zuständige 
Sachbearbeitung bzw. an den jeweiligen Adressaten weiterzuleiten sind. 


28. Sind die Beschäftigten dieser Stellen bzw. Abteilungen dazu befugt oder an¬ 
gehalten, teilweise Schwärzungen durchzuführen, ehe die eingereichten Un¬ 
terlagen zum Scannen weitergeleitet werden, z. B. Schwärzung des Namens 
und der Anschrift des Arbeitgebers auf Lohnabrechnungen oder Schwärzung 
des Namens, der Anschrift und der Kontoverbindung des Vernieters auf 
Mietverträgen? 

Poststücke, die erfahrungsgemäß eine fachliche Würdigung erfordern, sind in der 
Arbeitshilfe „Sortierhilfe für Mitarbeiter/innen, die Poststellentätigkeiten wahr¬ 
nehmen“ aufgeführt. Bei diesen Dokumenten hat die jeweils zuständige Sachbe¬ 
arbeitung fachlich zu würdigen, ob Teile zu schwärzen sind. 


29. Was geschieht mit dem Schriftgut, das nicht zum Scannen weitergeleitet 
wird? 

Wird für dieses Schriftgut eine parallele Papierakte (neu) angelegt? 

Gibt es parallele Papierakten für nicht zu scannende, aber aufzubewahrende 
Unterlagen, wie z. B. Kopien von Kontoauszügen, Mietverträgen oder Be¬ 
triebswirtschaftlichen Auswertungen (BWA)? 

Für Poststücke, die an die zuständige Sachbearbeitung zur fachlichen Würdigung 

weitergeleitet wurden, gibt es grundsätzlich drei Szenarien: 

• Die fachliche Würdigung ergibt, dass das Poststück Tatsachen enthält, die sich 
unmittelbar auf den Leistungsanspruch auswirken. Das Poststück wird an¬ 
schließend (ggf. unter Vornahme von Schwärzungen) gescannt und gespei¬ 
chert. 

• Die fachliche Würdigung ergibt, dass das Poststück Urkundencharakter hat und 
Tatsachen enthält, die sich unmittelbar auf den Leistungsanspruch auswirken 
(z. B. Postzustellungsurkunden, Unterhaltstitel). Das Poststück ist im Original 
aufzubewahren und wird daher in Papierform in einer Flandakte datenschutz¬ 
konform aufbewahrt. 

• Die fachliche Würdigung ergibt, dass das Poststück nur wenige oder gar keine 
Tatsachen enthält, die sich unmittelbar auf den Leistungsanspruch auswirken. 
Es ist ein Vennerk über die Vorlage des Poststückes und ggf. den enthaltenen 
leistungsrelevanten Tatsachen zu erstellen und zur Akte zu nehmen. Das Post¬ 
stück wird anschließend an den Einsender zurückgeschickt, sofern es für des¬ 
sen weiteren Verwendung erforderlich erscheint (z. B. im Original eingereichte 
Bescheinigungen). Sofern eine Rücksendung nicht erforderlich erscheint (z. B. 
bei Kopien eingereichter Bescheinigungen), wird das Poststück anschließend 
datenschutzkonform vernichtet. 
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30. Wie werden (anonyme) Anzeigen, die laut dem der Antwort beigefugten 
Auszug aus der Arbeitshilfe der BA „Hinweise zum Aufbau und Führen ei¬ 
ner Leistungsakte“, Anlage 3, in einem „verschlossenen Umschlag“ in der 
Leistungsakte aufzubewahren sind, in der eAkte gespeichert? 

Zur Akte genommene (anonyme) Anzeigen sind auszublenden. Für ausgeblen¬ 
dete Dokumente werden nur noch einige wenige Metadaten (z. B. Posteingangs¬ 
datum) angezeigt, die Anzeige des konkreten Dokumenteninhalts ist jedoch für 
niemanden mehr möglich. Erst nach dem Einblenden, das nur im Vier-Augen- 
Prinzip möglich ist, kann der Dokumenteninhalt grundsätzlich wieder aufgerufen 
werden. 

31. Wie wird die Vergabe von Berechtigungen zur Bearbeitung und Einsicht 
sensibler Sozialdaten im Rollen- und Berechtigungskonzept DiBAS (siehe 
Antwort zu Frage 24) geregelt (bitte Link auf entsprechendes Konzept ange¬ 
ben oder Konzept als Text anhängen)? 

Werden Leiharbeiterinnen und Leiharbeiter in das Rollen- und Berechti¬ 
gungskonzept DiBAS mit eingebunden? 

Wie werden die Beschäftigten, die in den Scanzentren eingesetzt werden, vor 
ihrem Einsatz überprüft (Vorstrafen, Interessenkonflikte etc.)? 

Die Vergabe der Rollen ist an Aufgaben geknüpft, die Vergabe der Berechtigun¬ 
gen einer Rolle wiederum an die für die Erfüllung dieser Aufgabe notwendigen 
Berechtigungen. Jeder Benutzer wird gemäß seiner Aufgabe in den dafür erfor¬ 
derlichen Rollen autorisiert. Das bedeutet, dass die BA Berechtigungen für die 
Mitarbeiterin oder den Mitarbeiter nach dem Minimalprinzip vergibt. Die Berech¬ 
tigungsvergabe sieht zur Auffechterhaltung des Vier-Augen-Prinzips auch „un¬ 
verträgliche“ Rollen vor. So dürfen an Support-Mitarbeiterinnen und -Mitarbeiter 
zum Beispiel keine Rollen im operativen Prozess vergeben werden. Ein großer 
Teil der Mitarbeiterinnen und Mitarbeiter, der zum Beispiel in der Arbeitsvorbe¬ 
reitung tätig ist, bekommt zwar Zugriff auf das physische Schriftgut, das sie oder 
er in ihrer oder seiner Aufgabe aufbereiten muss, erhält jedoch keinen Zugriff auf 
Daten in den IT-Systemen (wie z. B. die Bilddateien nach dem Scanprozess), da 
diese Daten für die Erfüllung der Aufgabe nicht erforderlich sind. Die Beschrei¬ 
bung findet sich im fachlichen Berechtigungskonzept eAkte Mandant SGB II. 
Dieses wird der Geheimschutzstelle des Deutschen Bundestages übermittelt 
(siehe dazu die Antwort zu den Fragen 5 und 6). 

Die BA steuert die Vergabe der Berechtigungen über das sogenannte „User Ac¬ 
count Management“. Die korrekte Vergabe der Berechtigungen wird über den 
Prozess „User Account Control“ regelmäßig überprüft. 

Alle Mitarbeiterinnen und Mitarbeiter, die mit der produktiven Verarbeitung der 
Daten betraut sind (unabhängig davon, ob diese rein physisch oder IT-gestützt 
sind), unterliegen folgenden Kriterien: 

• Vorlage eines polizeilichen Führungszeugnisses, 

• Unterzeichnung einer mit dem Auftraggeber abgestimmten Verpflichtungser¬ 
klärung zur Einhaltung der gesetzlichen Vorschriften und des Datenschutzes, 

• regelmäßige jährliche Belehrungen im Datenschutz und 

• Belehrung und Unterzeichnung einer Verpflichtungserklärung nach dem Ge¬ 
setz über die förmliche Verpflichtung nichtbeamteter Personen. 

Die hier beschriebenen Maßnahmen gelten für alle Personen, die mit der produk¬ 
tiven Verarbeitung des Schriftguts der BA betraut sind. 
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32. Wie sichert die BA, dass beim Einsatz von Drittfirmen, also von Personen, 
die weder bei der BA noch bei der Deutschen Post AG arbeiten, der Sozial¬ 
datenschutz gemäß dem Zweiten Kapitel SGB X tatsächlich eingehalten und 
in demselben Umfang geheim gehalten wird (vgl. § 78 SGB X)? 

Prüft die BA, ob in den Scanzentren Personen eingesetzt werden (auch über 
Zeitarbeitsfirmen), die bereits wegen Verstößen gegen Datenschutz, z. B. 
wegen Verkaufs von personenbezogenen Daten, belangt wurden? 

Wenn ja, wie? 

Für alle zum Einsatz kommenden Mitarbeiterinnen und Mitarbeiter der Deutsche 
Post AG oder deren Subuntemehmem kommen die in der Antwort zu Frage 31 
beschriebenen Regelungen zur Anwendung. Mitarbeiterinnen und Mitarbeiter mit 
Eintragungen im polizeilichen Führungszeugnis über Verstöße gegen Daten¬ 
schutzbestimmungen dürfen in der Verarbeitung DiBAS nicht eingesetzt werden. 

Die Verträge zur Auftragsverarbeitung sind von der BA vorgegeben, gelten so¬ 
wohl für die Deutsche Post AG als auch für deren Subunternehmer und sind we¬ 
sentlicher Vertragsbestandteil. Die zur Verarbeitung personenbezogener Daten 
beauftragten Auftragsverarbeiter sind im Rahmen des Vertrages zur Auftragsver- 
arbeitung zur Geheimhaltung und Vertraulichkeit verpflichtet (Artikel 28 Ab¬ 
satz 3 lit. b DSGVO). 

Der Auftragsverarbeiter führt an seinen Standorten und auch bei seinen Subun¬ 
temehmem regelmäßig Datenschutz-Audits durch. Die BA hat sich das vertrag¬ 
liche Recht eingeräumt, Datenschutzbegehungen bei der Deutsche Post AG oder 
bei deren Subuntemehmem durchzuführen oder dies an Aufsichtsgremien zu de¬ 
legieren. Die BA führt diese Kontrollen regelmäßig (einmal im Jahr pro Scan¬ 
zentrum) durch. 


33. Sind die im ersten Absatz in der Antwort zu Frage 26 genannten Prüfungen 
und Audits Datenschutzaudits im Sinne des § 73c SGB X? 

Welche näheren Anforderungen an die Prüfung und Bewertung, das Verfah¬ 
ren sowie die Auswahl und Zulassung der Gutachter waren dabei zu beach¬ 
ten (bitte gesetzliche Grundlagen, insbesondere das „besondere Gesetz“ nach 
§ 87c Satz 2 SGB X, benennen sowie konkret für die Scanzentren ausfüh¬ 
ren)? 

Kontrollieren und prüfen die in der Antwort zu Frage 26 genannten Prüfun¬ 
gen, Audits und ISO-Nonnen nach Kenntnis der Bundesregierung zuverläs¬ 
sig die Einhaltung der Standards des Sozialdatenschutzes gemäß dem Zwei¬ 
ten Kapitel SGB X oder eher die „Ordnungsmäßigkeit und Sicherheit (Revi¬ 
sionssicherheit) des Prozesses Digitalisierung BA Schriftgut“? 

Die in der Antwort der Bundesregierang zu Frage 26 der Kleinen Anfrage der 
Fraktion DIE LINKE, auf Bundestagsdrucksache 19/3412 genannte Wahrneh¬ 
mung der Kontrollrechte durch den Auftraggeber ist keine Maßnahme nach § 78c 
SGB X, der hier offenbar gemeint ist. Die Durchführung von Datenschutzaudits 
im Sinne des zum 26. Mai 2018 aufgehobenen § 78c SGB X war in der Vergan¬ 
genheit nicht möglich. Die nach dem damaligen § 78c Satz 2 SGB X zunächst 
erforderlichen gesetzlichen Regelungen zu den näheren Anforderungen an die 
Prüfung und Bewertung, das Verfahren sowie die Auswahl und Zulassung von 
Gutachtern für die Prüfung und Bewertung von technischen Einrichtungen wur¬ 
den nie geschaffen. Mit dem Inkrafttreten der DSGVO wurde § 78c SGB X auf¬ 
gehoben, weil die Regelung vor dem Hintergrund der DSGVO keine Relevanz 
hat. 
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Mit den in der Antwort der Bundesregierung zu Frage 26 der Kleinen Anfrage 
der Fraktion DIE LINKE, auf Bundestagsdrucksache 19/02916 genannten Maß¬ 
nahmen werden die Einhaltung des Sozialdatenschutzes und die Ordnungsmäßig¬ 
keit und Sicherheit des Prozesses Digitalisierung BA Schriftgut überprüft. 


34. Bei wem sind die Personen, die die gescannten Unterlagen kontrollieren 
(„Qualitätssicherung“, siehe Antwort zu Frage 27) sowie die Personen, die 
mit der manuellen Erfassung bestimmter Fachdaten beauftragt sind („Nach¬ 
bearbeitungskräfte“, siehe Antwort zu Frage 28), beschäftigt? 

Werden in diesen beiden Bereichen auch Beschäftigte, die weder bei der 
Deutschen Post AG noch bei der BA angestellt sind, eingesetzt? 

Werden in diesen Bereichen auch Leiharbeiterinnen und Leiharbeiter einge¬ 
setzt? 

Die genannten Aufgaben gehören zum Zuständigkeitsbereich der Deutsche Post 
AG. Auch in diesen Bereichen können Mitarbeiterinnen und Mitarbeiter in Ar¬ 
beitnehmerüberlassung zum Einsatz kommen. Für diese Mitarbeiterinnen und 
Mitarbeiter gelten die gleichen Kontrollen wie für die Mitarbeiterinnen und Mit¬ 
arbeiter der Deutsche Post AG (siehe Antwort zu Frage 31). 


35. Wie viele „Signaturmitarbeiter in der BA“ gibt es (siehe Antwort zu 
Frage 27) zurzeit, und für wie viele stichprobenartige Überprüfungen wie 
vieler digitalisierter Dokumente sind diese zuständig (bitte auch Anzahl di¬ 
gitalisierter Dokumente für alle Scanzentren sowie je Scanzentrum je Monat 
angeben)? 

Die qualifizierten elektronischen Signaturen bringen als hoheitliche Aufgabe 77 
Mitarbeiterinnen und Mitarbeiter der BA in vier Scanzentren des Scandienstleis¬ 
ters auf. Der Stichprobenumfang beträgt mindestens 2 Prozent. Der Signaturpro¬ 
zess besteht aus dem Sichtvergleich zwischen dem elektronischen Abbild und 
dem Papieroriginal sowie dem Aufbringen der Signatur. Mit der qualifizierten 
elektronischen Signatur wird bestätigt, dass das elektronische Dokument bildlich 
und inhaltlich mit dem Papieroriginal übereinstimmt. Im Zeitraum von August 
2017 bis Juli 2018 wurden in den vier Scanzentren rund 138,1 Millionen Doku¬ 
mente gescannt. Dies entspricht einem monatlichen Durchschnitt von rund 
11,5 Millionen Dokumenten. Je Scanzentrum und Monat wurden im Durchschnitt 
knapp 2,9 Millionen Dokumente eingescannt. 


36. Haben die Bundesregierung und die BA ein Interesse daran (siehe Antwort 
zu Frage 31, nach der die Datenschutzbeauftragten der Jobcenter nur auf lo¬ 
kaler Ebene berichten), beispielsweise im Rahmen eines Benchmarkings, be¬ 
sonders vorbildliche und besonders schlechte Jobcenter in Sachen Daten¬ 
schutz zu identifizieren, und damit einen Wettbewerb in Bezug auf einen 
besonders vorbildlichen Datenschutz in den Jobcentern zu starten bzw. „Best 
Practice“-Vorbilder für den Datenschutz zu schaffen? 

Wenn nein, warum nicht? 

Die Bundesregierung und die BA sind nicht befugt, den behördlichen Daten¬ 
schutzbeauftragten Vorgaben zu machen. Da diese fachlich weisungsffei sind, 
besteht ihnen gegenüber auch keine Weisungsbefugnis. Eine Überprüfung durch 
Benchmarking kommt daher nicht in Betracht. 
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37. Haben die Bundesregierung oder die BA Bedenken, wenn für Datenschutz¬ 
verstöße in den Jobcentem lediglich eine Beschäftigte bzw. ein Beschäftigter 
des jeweiligen Jobcenters zuständig ist, und diese bzw. dieser bei Verstößen 
lediglich der Geschäftsleitung (die ggf. selbst Ursache für die Verstöße ist) 
berichtet? 

Entspricht diese Praxis nach Einschätzung der Bundesregierung den Grund¬ 
sätzen einer guten Verwaltungspraxis? 

Liegen die Voraussetzungen des Artikel 37 Absatz 1 DSGVO vor, benennt der 
Verantwortliche (also hier die Geschäftsleitung) einen Datenschutzbeauftragten. 
Stellung und Aufgaben des Datenschutzbeauftragten sind in Artikel 38 und 39 
DSGVO geregelt. 

Nach Artikel 33 der DSGVO hat ein Verantwortlicher im Falle einer Verletzung 
des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 
72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen 
Datenschutzaufsichtsbehörde (BfDI) zu melden, es sei denn, dass die Verletzung 
voraussichtlich nicht zu einem Risiko für die Recht und Freiheiten natürlicher 
Personen führt. Ergänzend zu den Meldepflichten gemäß den Artikeln 33 und 34 
der DSGVO hat eine in § 35 des Ersten Buches Sozialgesetzbuch genannte Stelle 
die Verletzung des Schutzes von Sozialdaten auch der Rechts- oder Fachauf¬ 
sichtsbehörde zu melden (§ 83a SGB X). Damit sind die Aufsichtsbehörden über 
Datenschutzverstöße regelmäßig informiert. 


38. Welchen Umfang der Freistellungen der Beauftragten für den Datenschutz 
hält die Bundesregierung und die BA für mindestens notwendig (bitte sämt¬ 
liche Kriterien angeben)? 

Wurden die empfohlenen Umfänge der Freistellungen der Beauftragten für 
den Datenschutz im Rahmen der Einführung der eAkte erhöht? 

Nach § 5 Absatz 1 BDSG hat jede öffentliche Stelle eine behördliche Daten¬ 
schutzbeauftragte oder einen behördlichen Datenschutzbeauftragten zu benen¬ 
nen. Die öffentliche Stelle unterstützt die Datenschutzbeauftragte oder den Da¬ 
tenschutzbeauftragten bei der Erfüllung ihrer oder seiner Aufgaben, indem sie die 
für die Erfüllung dieser Aufgaben erforderlichen Ressourcen und den Zugang zu 
personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung 
ihres oder seines Fachwissens erforderlichen Ressourcen zur Verfügung stellt 
(§ 6 Absatz 2 BDSG). Aus der Unterstützungspflicht folgt die Pflicht zu einer 
angemessenen Freistellung von anderen dienstlichen Tätigkeiten. Für den Um¬ 
fang der Freistellung hat die öffentliche Stelle die wachsende Komplexität der 
Aufgabe zu berücksichtigen. Wesentlich ist als Kriterium auch die Größe der 
Dienststelle, für die die oder der Datenschutzbeauftragte benannt ist. Ein gesetz¬ 
licher Mindestumfang besteht nicht. 

Die einzelnen Stellen melden der Bundesregierung nicht den Umfang der Frei¬ 
stellung. Welchen Einfluss die Einführung der eAkte auf den Umfang hatte, ist 
der Bundesregierung nicht bekannt. Die gEen berücksichtigen die Freistellungen 
im Rahmen der Personalbedarfsermittlung, um die notwendigen Stellen für die 
Aufgabenerledigung zu erhalten. 
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39. Sieht die Bundesregierung neben den in der Antwort zu Frage 33 genannten 
drei Punkten weitere Änderungs- und Entwicklungsbedarfe, damit die 
Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten (Arti¬ 
kel 5 DSGVO), insbesondere bezüglich der Zweckbindung, Datenminimie¬ 
rung, Richtigkeit, Speicherbegrenzung sowie der Integrität und Vertraulich¬ 
keit in der BA und der Jobcenter, insbesondere in Bezug auf die eAkte, die 
Scanzentren, die Servicecenter und die Inkassoservices, verlässlich gesichert 
werden? 

Änderungs- und Entwicklungsbedarfe werden in einem ständigen Abstimmungs¬ 
prozess mit der zuständigen Datenschutzaufsichtsbehörde entwickelt und umge¬ 
setzt. 
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Anlage 1 

Tabelle zu Frage 14 

Gemeinsame Einrichtungen, die die Dienstleistung 
0.7 Service Center nicht eingekauft haben: 


1 

Vorpommern-Greifswald Nord 

2 

Vorpommern-Greifswald Süd 

3 

Mecklenburgische Seenplatte-Süd 

4 

Mecklenburgische Seenplatte-Nord 

5 

Bad Doberan 

6 

Parchim-Ludwigslust 

7 

Prignitz 

8 

Dessau-Roßlau, Stadt 

9 

Sächsische Schweiz Osterzgebirge 

10 

Mittelsachsen 

11 

Ilm-Kreis 

12 

Sömmerda 

13 

Weimar, Stadt 

14 

Weimar, Landkreis 

15 

Gotha 

16 

Unstrut-Hainich-Kreis 

17 

Saalfeld-Rudolstadt 

18 

Kyffhäuserkreis 

19 

Suhl, Stadt 

20 

Flildburghausen 

21 

Sonneberg 

22 

Pinneberg 

23 

Flensburg, Stadt 

24 

Steinburg 

25 

Plön 

26 

Ostholstein 

27 

Goslar 

28 

Celle 

29 

Northeim 

30 

Flildesheim 

31 

Oldenburg, Stadt 

32 

Osnabrück, Stadt 

33 

Fteinsberg 

34 

Leverkusen, Stadt 

35 

Oberbergischer Kreis 

36 

Rheinisch-Bergischer Kreis 

37 

Bielefeld, Stadt 

38 

Bonn, Stadt 

39 

Rhein-Erft 

40 

Gelsenkirchen, Stadt 

41 

Bottrop, Stadt 

42 

Fierford 

43 

Märkischer Kreis 

44 

Mönchengladbach, Stadt 

45 

Oberhausen, Stadt 
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Gemeinsame Einrichtungen, die die Dienstleistung 
0.7 Service Center nicht eingekauft haben: 


46 

Paderborn 

47 

Höxter 

48 

Siegen-Wittgenstein 

49 

Soest 

50 

Wesel 

51 

Wetteraukreis 

52 

Kassel, Stadt 

53 

Kassel, Landkreis 

54 

W erra-Meißner-Kreis 

55 

Waldeck-Frankenberg 

56 

Schwalm-Eder-Kreis 

57 

Kreis Limburg-Weilburg 

58 

Birkenfeld 

59 

Kaiserslautern, Stadt 

60 

Pirmasens, Stadt 

61 

Cochem-Zell 

62 

Westerwaldkreis 

63 

Germersheim 

64 

Südliche Weinstraße 

65 

Altenkirchen, Landkreis 

66 

Neuwied 

67 

Bemkastel-Wittlich 

68 

Bitburg-Prüm 

69 

Trier-Saarburg 

70 

Breisgau-Hochschwarzwald 

71 

Emmendingen 

72 

Heidelberg, Stadt 

73 

Heilbronn, Stadt 

74 

Karlsruhe, Landkreis 

75 

Mannheim, Stadt 

76 

Tübingen 

77 

Hohenlohekreis 

78 

Neckar-Odenwald-Kreis 

79 

Main-Tauber-Kreis 

O 

00 

Ulm, Stadt 

81 

Alb-Donau-Kreis 

82 

Schwarzwald-Baar-Kreis 

83 

Rottweil 

84 

Ansbach, Stadt 

85 

Weißenburg-Gunzenhausen 

86 

Roth 

87 

Aschaffenburg, Stadt 

88 

Miltenberg 

00 

SD 

Bayreuth, Stadt 

90 

Bayreuth, Landkreis 

91 

Kulmbach 

92 

Hof, Landkreis 

93 

Coburg, Stadt 
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Gemeinsame Einrichtungen, die die Dienstleistung 
0.7 Service Center nicht eingekauft haben: 


94 

Coburg, Landkreis 

95 

Kronach 

96 

Lichtenfels 

97 

Bamberg, Stadt 

98 

Bamberg, Landkreis 

99 

Schwabach, Stadt 

100 

Regensburg, Stadt 

101 

Cham 

102 

Haßberge 

103 

Kitzingen 

104 

Main-Spessart 

105 

Donau-Ries 

106 

Frei sing 

107 

Eichstätt 

108 

Pfaffenhofen a.d.Ilm 

109 

Kempten (Allgäu), Stadt 

110 

Lindau (Bodensee) 

111 

Ostallgäu 

112 

Memmingen, Stadt 

113 

Unterallgäu 

114 

Dingolfing-Landau 

115 

München, Landeshauptstadt 

116 

Freyung-Grafenau 

117 

Passau, Landkreis 

118 

Bad Tölz-Wolffatshausen 

119 

Garmisch-Partenkirchen 
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